Para peneliti keamanan siber dari Zimperium menemukan kampanye penipuan yang memanfaatkan hampir 250 aplikasi Android berbahaya untuk mengelabui pengguna agar terdaftar ke layanan konten premium berbayar tanpa sepengetahuan mereka. Aplikasi-aplikasi tersebut menyamar sebagai gim populer dan platform media sosial, di antaranya TikTok, Minecraft, Grand Theft Auto, Threads, dan Facebook Messenger.
Setelah terpasang di perangkat, aplikasi palsu ini disebut dapat secara diam-diam memproses pendaftaran layanan berbayar. Dampaknya, korban berpotensi dikenai biaya langsung melalui tagihan telepon atau akun jaringan seluler mereka.
Zimperium melacak aktivitas kampanye ini sejak Maret 2025 hingga setidaknya Januari 2026. Aktivitasnya dilaporkan sangat menonjol di Malaysia, Rumania, Thailand, dan Kroasia. Malware tersebut juga dirancang hanya aktif ketika perangkat terhubung dengan penyedia jaringan yang menjadi target.
Salah satu aspek yang disorot adalah kemampuan malware memilih target secara presisi. Aplikasi berbahaya ini membaca informasi kartu SIM untuk mengidentifikasi operator seluler yang digunakan korban. Jika operator tidak termasuk dalam daftar target, aplikasi hanya menampilkan situs web yang terlihat tidak berbahaya untuk mengurangi risiko terdeteksi. Namun, bila operator cocok dengan yang telah diprogram, malware memicu proses phishing.
Dalam sejumlah kasus, aplikasi meminta pengguna melakukan “verifikasi akun game” atau “verifikasi layanan”. Modus ini digunakan untuk mencuri kode OTP yang dikirim melalui SMS. Untuk melakukannya, pelaku memanfaatkan API pengumpulan SMS pada Android guna mencegat kata sandi sekali pakai, lalu secara otomatis mengirim perintah JavaScript ke gerbang pembayaran operator seluler.
Peneliti menyebut kampanye ini menggunakan tiga varian malware berbeda dengan tujuan yang sama, yaitu mengambil uang melalui mekanisme pembayaran jaringan seluler. Varian pertama berfokus pada pendaftaran paket layanan berbayar secara otomatis dan disebut paling canggih, karena mampu membaca kartu SIM serta hanya aktif pada operator tertentu yang kodenya telah dienkripsi sebelumnya.
Varian kedua terutama menargetkan pengguna di Thailand melalui SMS premium. Malware ini menggunakan teknik berlapis untuk menghindari deteksi: aplikasi menampilkan antarmuka yang tampak sah, tetapi diam-diam membuka WebView tersembunyi untuk mengakses gerbang pembayaran. Penyerang juga memanfaatkan teknik pencurian cookie untuk mempertahankan sesi login pada sistem pembayaran penyedia jaringan.
Sementara itu, varian ketiga menggabungkan phishing SMS dengan notifikasi waktu nyata melalui Telegram. Mekanisme ini memungkinkan pelaku memantau perangkat yang terinfeksi dan menyesuaikan operasi serangan berdasarkan hasil yang didapat.
Menurut laporan Dark Reading, Google menyatakan aplikasi berbahaya yang disebutkan tidak ditemukan di Google Play Store. Google juga menegaskan fitur Google Play Protect—yang aktif secara default pada perangkat Android—dapat memberikan perlindungan otomatis terhadap varian malware yang telah dikenal.
Meski demikian, sejumlah ahli menilai kasus ini tetap menyoroti meningkatnya kerentanan di ekosistem aplikasi Android. Mereka menekankan bahwa pelaku terus mengeksploitasi fitur-fitur yang sah untuk menjalankan serangan, sehingga risiko penipuan dapat berkembang seiring perubahan teknik yang digunakan.
